Informasjonssikkerhet og personvern. Partene er ansvarlig for all behandling av helse- og personopplysninger og humant biologisk materiale som foregår i egen institusjon, og har et felles ansvar for å forhindre at slike opplysninger kommer på avveie. I de tilfeller der to eller flere parter i fellesskap fastsetter formålene med og midlene for behandlingen av helse- og personopplysninger etter denne avtalen, skal de fastsette sitt respektive ansvar for å overholde gjeldende regelverk i henhold til personvernforordningen art. 26. Partene er forpliktet til å behandle og oppbevare helse- og personopplysninger i henhold til gjeldende regelverk, herunder personopplysningsloven, personvernforordningen, helseregisterloven, pasientjournalloven og enhver lov, forskrift eller annet regelverk som endrer eller erstatter disse. Partene plikter også å følge Helsedirektoratets veileder ”Personvern og informasjonssikkerhet i forskningsprosjekter innenfor helse- og omsorgsektoren” (xxx.xxxxxx.xx). Ved behov skal det gjennomføres en personvernkonsekvensvurdering før igangsetting av studien. Det skal lages en plan for datahåndtering (vedlegg 3) der det angis gjenstanden for og varigheten av behandling av helse- og personopplysninger, behandlingens art og formål, hvilke typer helse- og personopplysninger som behandles, og kategorier av registrerte. Opplysningene skal kun benyttes til de formålene som følger av godkjent protokoll, aktuelle godkjenninger, i den utstrekning det er strengt nødvendig for å gjennomføre prosjektet, og for øvrig i henhold til prinsippene som følger av personvernforordningens artikkel 5. Utlevering av data mellom partene skal skje i overensstemmelse med godkjent protokoll. Som hovedregel skal data være avidentifisert eller anonymisert før utlevering kan finne sted. I tilfeller der en part skal utføre behandling av helse- og personopplysninger på spesifikt oppdrag fra en annen part, skal det inngås en egen databehandleravtale som oppfyller kravene i personvernforordningen art. 28 om databehandlingsoppdraget.
Informasjonssikkerhet og personvern. Læremiddelet skal tilfredsstille kravene til personvern slik de til enhver tid følger av personopplysningsloven og supplerende rettsgrunnlag i opplæringslova med forskrift. Dette må dokumenteres i henhold til kundens personvern-godkjenningsprosess, som omfatter å besvare kundens skjema for personvern-godkjenning av Feide-tjenester, signere kundens databehandleravtale for Feide-tjenester (basert på Digitaliseringsdirektoratets mal for databehandleravtaler). Dette inkluderer å fylle ut leverandørerklæringen under «Informasjonssikkerhet og personvern» i Feides kundeportal og oppdatere denne ved behov. Databehandleravtalen skal være signert av begge parter før oppstart. Leverandøren skal bidra med informasjon til kundens DPIA, ROS og informasjonsarbeid for tjenesten. Tilbyderen skal beskrive hvordan kravet skal oppfylles, og eventuelt vise til en pågående eller fullført vurderingsprosess med kunden.
Informasjonssikkerhet og personvern. Oslo universitetssykehus HF har evaluert kontrolltårn til å oppfylle alle krav til informasjonssikkerhet og personvern som oppsatt i anbudskonkurransen. Kravene i kontrakten med KPMG AS om innovasjonspartnerskapet inkluderte kravene fra Helse Sør- Østs ledelsessystem for informasjonssikkerhet. Kontrolltårn-løsningen er utviklet for å ivareta disse kravene. Oslo universitetssykehus HF har vurdert at løsningen oppfyller alle krav i «Sikkerhetsmatrisen for sky», som danner grunnlag for bruk av skytjenester i Helse Sør-Øst. Skyløsningen vil installeres og driftes på datasentre i EU, nærmere bestemt i Nederland og Irland. Et sentralt og bærende premiss for gjennomføringen av innovasjonsprosjektet har vært prinsippene om innebygget personvern i løsningen. Dette har bidratt til at færrest mulig pasientopplysninger vil behandles i løsningen, og at tekniske og organisatoriske tiltak skal gi et tilfredsstillende sikkerhetsnivå for opplysningene. Av særskilt viktige tekniske tiltak kan nevnes at dataene som behandles og lagres i løsningen, er krypterte med god håndtering av krypteringsnøklene. KPMG AS har en underleverandør, ServiceNow Inc. («ServiceNow»). Dette selskapet er selvsertifisert under Data Privacy Framework, som er dataoverføringsavtalen som ble inngått mellom EU og USA sommeren 2023. Sertifiseringen innebærer at eventuelle overføringer av personopplysninger til ServiceNow Inc. som underleverandør vil anses å ha et adekvat beskyttelsesnivå. I henhold til føringer i innovasjonsavtalen er det blitt utarbeidet utkast til en risiko og sårbarhetsanalyse (ROS) og personvernkonsekvensanalyse (Data Protection Impact Assessment, DPIA), som har vært gjenstand for kontinuerlig revisjon gjennom utviklingsperioden. I forkant av klinisk verifikasjon ble ROS og DPIA for den testede løsningen gjennomført med gode resultater, men testløsningen var mer avgrenset enn fullskalaløsningen og var ikke skybasert. Oslo universitetssykehus HF som informasjonseier og behandlingsansvarlig har ansvar for risikoaksepten og vil utøve dette ansvaret i samråd med Sykehuspartner HF og KPMG AS som leverandør som del av videre arbeid med løsningsdesign og oppdatert ROS og DPIA.
Informasjonssikkerhet og personvern. Leverandøren som leverer varer eller tjenester i denne kontrakt skal overholde lovgivninger og reguleringer for håndtering av informasjon og personopplysninger. Kravene gjelder i leverandørens egen virksomhet og i leverandørkjeden.
Informasjonssikkerhet og personvern. Partene er forpliktet til å behandle og oppbevare helse- og personopplysninger i henhold til gjeldende regelverk, er ansvarlig for all behandling av helse- og personopplysninger og humant biologisk materiale som foregår i egen institusjon, og har et felles ansvar for å forhindre at slike opplysninger kommer på avveie. Det skal lages en plan for datahåndtering (vedlegg 3) der det angis gjenstanden for og varigheten av behandling av helse- og personopplysninger, behandlingens art og formål, hvilke typer helse- og personopplysninger som behandles, og kategorier av registrerte. Opplysningene skal kun benyttes til de formålene som følger av godkjent protokoll, aktuelle godkjenninger, i den utstrekning det er strengt nødvendig for å gjennomføre prosjektet, og for øvrig i henhold til prinsippene som følger av personvernforordningens artikkel 5. For øvrig skal partene følge de vilkår som følger av konsortieavtalen.
Informasjonssikkerhet og personvern. Leverandør må tilby databehandleravtale for aktuelle tekniske løsninger driftet på vegne av Kunden. A
Informasjonssikkerhet og personvern. Leverandøren skal overholde regler for håndtering av informasjon og personopplysninger, samt ivareta nødvendig konfidensialitet og forvalte egne og kunders materielle og immaterielle verdier på en profesjonell måte.